IP-вайтлист

Белый список IP — это список IP-адресов, с которых может использоваться API-ключ биржи, конечная точка вебхука или сервер; запросы с любого другого адреса отклоняются, поэтому украденный ключ или подделанный вебхук бесполезны, если только злоумышленник не контролирует также один из указанных адресов.

Почему это важно

Учётные данные утекают; адреса украсть сложнее. Привязка API-ключа к адресам серверов исполнения означает, что даже утёкший ключ невозможно использовать с машины злоумышленника, и несколько бирж именно по этой причине отключают неограниченные ключи по истечении периода. На стороне вебхука проверка того, что запрос действительно приходит с опубликованных адресов TradingView или с адреса, который контролируете вы, — это то, что делает вебхук на основе URL безопасным для использования в реальной торговле, поскольку TradingView не может отправлять заголовки аутентификации.

Как это реализовано в AlgoVesta

AlgoVesta отправляет крипто-ордера с серверов исполнения с фиксированными публичными IP-адресами, которые показаны в панели управления и в руководствах по настройке бирж, чтобы вы могли добавить их в белый список вашего API-ключа; серверы постоянны, и ключ, ограниченный ими, невозможно использовать откуда-либо ещё, даже если он утечёт. Для вебхуков TradingView реальное исполнение принимается только тогда, когда запрос приходит с опубликованных IP-адресов TradingView или с адреса, который вы добавили в белый список для этой стратегии; запросы откуда-либо ещё регистрируются, но не торгуются, а пустой или неразбираемый адрес источника никогда не считается подтверждённым. Платформа никогда не просит вас добавить в белый список её главный сервер, который остаётся за CDN. См. поддерживаемые биржи и страницу бота для TradingView.

Пример

Трейдер создаёт ключ Bybit только для торговли, ограничивает его двумя IP-адресами исполнения, указанными в панели управления, и подключает его. Спустя месяцы секрет оказывается в утёкшем файле. Любой, кто пытается использовать его с другой машины, отклоняется Bybit, в то время как серверы AlgoVesta продолжают торговать в обычном режиме, а трейдер спокойно ротирует ключ.

Типичные ошибки

• Добавлять в белый список на бирже свой домашний IP, когда ордера отправляются с серверов платформы.
• Оставлять ключ неограниченным и позже обнаруживать, что биржа его отключила по истечении срока.
• Отправлять алерты TradingView через посредника, меняющего адрес источника, из-за чего проверка не проходит.
• Путать адреса серверов исполнения с веб-адресом платформы.